جریمه‌ی ۴۰۳ میلیون یورویی گوگل به خاطر نقض حریم خصوصی مکان؛ چهارمین جریمه بزرگ اتحادیه اروپا

کمیسیون حفاظت از داده‌های ایرلند (DPC)، ناظر اصلی گوگل در اتحادیه اروپا، روز ۲۱ سپتامبر ۲۰۲۶ (۳۱ شهریور ۱۴۰۵) گوگل را به پرداخت ۴۰۳ میلیون یورو (حدود ۴۶۳ میلیون دلار) محکوم کرد. دلیل حکم، نقض مقررات GDPR در نحوه‌ی پردازش داده‌های مکانی کاربران بود. این تصمیم پس از یک تحقیق دوساله صادر شد.

جریمه‌ای که از کجا آب خورد؟

آغاز پرونده به فوریه ۲۰۲۰ برمی‌گردد؛ زمانی که چندین سازمان حقوق مصرف‌کننده اروپایی از جمله BEUC شکایت‌هایی درباره‌ی شیوه‌های پردازش داده‌های مکان در خدمات گوگل ثبت کردند. DPC سپس بررسی خود را روی سه قابلیت مشخص در بازه‌ی زمانی بین ۲۵ می ۲۰۱۸ (زمان اجرای GDPR) تا ۴ فوریه ۲۰۲۰ متمرکز کرد.

سه قابلیت مشکل‌دار:

• فعالیت وب و اپ (Web & App Activity): این تنظیم در حساب گوگل، اطلاعات فعالیت کاربران در سرویس‌های گوگل را پردازش می‌کند؛ از جمله تاریخچه‌ی مرور و جست‌وجو و داده‌های مکان.
• تاریخچه مکان (Location History): یک سرویس اختیاری که موقعیت کاربر را هنگام همراه داشتن گوشی ثبت می‌کند و یک «تایم‌لاین» خصوصی از مسیرهای طی‌شده در Google Maps نشان می‌دهد.
• دقت مکان (Location Accuracy): قابلیتی در سیستم‌عامل Android که با استفاده از منابعی فراتر از GPS، موقعیت دستگاه را دقیق‌تر تعیین می‌کند.

نقض‌های اصلی و ادعای DPC

بر اساس حکم DPC، گوگل در چهار زمینه‌ی کلیدی مقررات عمومی حفاظت از داده‌ها (GDPR) تخلف کرده است:

۱. نقض قانون‌مندی و انصاف: پردازش داده‌های مکان در «فعالیت وب و اپ» و «تاریخچه مکان» نه قانونی و نه منصفانه بوده است. ۲. عدم شفافیت: گوگل درباره‌ی هر سه قابلیت یادشده، اطلاعات روشن و کافی در اختیار کاربران نگذاشته است. به گفته‌ی گراهام دویل، معاون کمیسر، این ضعف‌های شفافیت ممکن است باعث شده باشد افراد ندانند از موقعیت مکانی‌شان—for example—برای هدف‌گیری تبلیغاتی یا استنباط علایق شخصی استفاده می‌شود. ۳. عدم توانایی در اثبات پایبندی: در مورد قابلیت «دقت مکان»، گوگل نتوانسته به ناظران نشان دهد که به اصل «قانون‌مندی، انصاف و شفافیت» پایبند است. ۴. نگهداری طولانی‌تر از حد لازم داده‌ها: در «فعالیت وب و اپ» و «تاریخچه مکان»، داده‌های مکانی برای مدتی بیشتر از نیاز نگه‌داری شده که به کاهش کنترل کاربران بر داده‌های شخصی‌شان دامن می‌زند.

واکنش گوگل و سابقه‌ی جریمه‌ها

گوگل در پاسخ به این حکم به آسوشیتدپرس گفت این پرونده به سیاست‌های قدیمی مربوط است که از آن زمان به‌روزرسانی شده‌اند و افزود از سال ۲۰۱۹ روش‌های خود را تغییر داده و ابزارهایی برای مدیریت ساده‌تر داده‌های مکان ارائه کرده است.

این اولین جریمه‌ی سنگین گوگل در اروپا نیست. به گفته‌ی DPC، جریمه‌ی تازه، چهارمین مورد بزرگ این نهاد از زمان اجرای GDPR است. بزرگ‌ترین جریمه‌ی DPC تاکنون ۱.۳ میلیارد دلار برای متا به دلیل انتقال داده‌های کاربران فیس‌بوک اتحادیه اروپا به سرورهای ایالات متحده بوده است. همچنین در تابستان امسال، در آخرین مرحله‌ی تجدیدنظر، جریمه‌ی ۴.۷ میلیارد دلاری آنتی‌تراست مربوط به Android علیه گوگل تایید شد و در جولای نیز بابت اولویت‌دهی ناعادلانه به خدمات خود در نتایج جست‌وجو، یک میلیارد دلار دیگر جریمه شد.

GDPR و اصول مرتبط با این پرونده

GDPR مجموعه‌ای از اصول را برای پردازش داده‌های شخصی تعیین می‌کند. در این پرونده، چهار اصل نقش پررنگ‌تری داشتند:

• قانون‌مندی و انصاف: پردازش باید مبتنی بر مبنای قانونی روشن (مثل رضایت معتبر یا منافع مشروع) و منصفانه باشد؛ به‌طوری‌که کاربران غافلگیر نشوند.
• شفافیت: افراد باید بفهمند چه داده‌هایی جمع می‌شود، چرا جمع می‌شود و چگونه استفاده و نگه‌داری می‌شود.
• محدودیت مدت نگه‌داری: داده‌ها نباید بیش از زمان لازم برای هدف اعلام‌شده نگه‌داری شوند.
• پاسخ‌گویی (اثبات پایبندی): سازمان‌ها باید بتوانند با مدارک نشان دهند که به اصول عمل می‌کنند، نه اینکه صرفا ادعا کنند.

دستورالعمل‌های آینده و پیامدها

طبق حکم جدید، گوگل باید ظرف ۶ ماه پردازش داده‌های مکان خود را با مقررات GDPR هماهنگ کند. DPC همچنین خبر داده که سه تحقیق بزرگ دیگر علیه گوگل در جریان است و همه در مراحل پیشرفته قرار دارند. این موضوع نشان می‌دهد که ناظران اروپایی، با وجود انتقادها درباره کندی برخی روندها، اجرای سخت‌گیرانه‌ی قوانین حفاظت از داده‌ها را ادامه می‌دهند.

برای کاربران، پیام روشن است: داده‌های مکان می‌تواند تصویری دقیق از الگوی رفت‌وآمد، محل‌های مراجعه و حتی علایق و عادات روزمره بسازد. به همین دلیل، تنظیمات حساب و گوشی—از جمله «Web & App Activity»، «Location History» و «Location Accuracy»—نقش مهمی در میزان داده‌ای دارند که جمع‌آوری و نگه‌داری می‌شود. شرکت‌های فناوری موظف‌اند درباره‌ی جمع‌آوری، استفاده و مدت نگه‌داری این داده‌ها شفاف باشند و ابزارهای قابل‌فهمی برای کنترل آن‌ها ارائه دهند.

در نهایت، نتیجه‌ی این پرونده برای گوگل فقط یک جریمه مالی نیست؛ بلکه الزام به اصلاح فرآیندها، بازنگری در شفافیت اعلان‌ها و محدودکردن دوره‌ی نگه‌داری داده‌های مکان را هم به دنبال دارد. با توجه به سه تحقیق دیگر در جریان، احتمالا در ماه‌های آینده خبرهای بیشتری درباره‌ی شیوه‌های داده‌ای گوگل در اروپا منتشر خواهد شد.